локальный вход задаётся конфигом: заголовки подставляет сам сервис

- в конфиг добавлены секция [auth.test_headers] и предохранитель [server] debug:
  заголовки входа подставляет слой транспорта, второго процесса локальный запуск
  больше не требует
- подкоманда devtools proxy удалена целиком: всё, ради чего её поднимали, делает
  сам сервис
- адресного предохранителя нет по решению владельца — цена названа в ADR и в
  модели угроз

docs/passport.md

@@ -65,9 +65,16 @@ Telegram.
   записи у сервиса при этом есть, и границы это не двигает: сервис **зеркалит**
   имя, названное провайдером, — заводит строку при первом обращении под новым
   именем и связывает с ней записи владельца. Кто этот человек и пускать ли его,
-  сервис не решает никогда. Исключений у этого больше нет: панель администратора
-  со своим паролем владельца жила здесь с 2026-08-11 по 2026-08-22 и ушла вместе
-  со встроенным хранилищем — своего входа сервис не ведёт вовсе.
+  сервис не решает никогда. Панель администратора со своим паролем владельца жила
+  здесь с 2026-08-11 по 2026-08-22 и ушла вместе со встроенным хранилищем.
+  *Изъятие одно:* при включённом предохранителе `[server] debug`, выключенном по
+  умолчанию, сервис подставляет запросу те заголовки входа, которые в бою даёт
+  обратный прокси. Своего входа, регистрации и проверки допуска он от этого не
+  заводит: подставленное имя проходит то же узнавание, что и пришедшее. Кого
+  пускать, провайдер решает во всяком прогоне без изъятия; в самом изъятии его не
+  спрашивают вовсе — сервис называет пришедшего сам. Тем изъятие и держится
+  выключенным умолчанием, а границу его держит спека
+  [access](../openspec/specs/access/spec.md).
 - **Живая расшифровка.** Работаем с готовой записью, поток в реальном времени не
   обрабатываем.
 - **Диктофон.** Запись звука делает телефон, а приложение принимает готовый